IRONSCALES: el 77% vio phishing contra agentes de IA

El informe de IRONSCALES: el 77% vio a sus agentes de IA actuar sobre contenido malicioso

El 77% de los profesionales de TI y ciberseguridad encuestados por IRONSCALES afirmó que un agente o herramienta de IA de su organización actuó sobre contenido malicioso, engañoso o no autorizado durante el año anterior. El 57% reportó al menos un caso confirmado.

La encuesta, realizada por Censuswide para IRONSCALES, consultó a 501 profesionales de TI y ciberseguridad de Estados Unidos con cargos de nivel gerencial medio o superior, en empresas de entre 1.000 y 10.000 empleados, con trabajo de campo entre el 9 y el 17 de septiembre de 2026. El propio informe aclara que las cifras describen incidentes reportados por los participantes —incluidos los sospechosos— y no un recuento verificado de forma independiente de brechas exitosas.

Para un founder, el punto no es el porcentaje exacto sino el cambio de dirección del ataque: el phishing dejó de apuntar solo a la persona que lee el correo y empezó a apuntar también al software que lo lee por ella.

Los agentes de IA ya tienen las llaves de sistemas que importan

Dentro de esa muestra, el 96% dijo que su organización usa agentes o herramientas de IA capaces de actuar en nombre de los empleados, y el 52% describió esa adopción como generalizada. La definición del informe es amplia: incluye desde herramientas que leen y responden mensajes hasta las que acceden a archivos o disparan flujos de trabajo.

Los permisos que se les conceden son el dato incómodo:

• 67% permite acceso a sistemas de gestión de incidencias o de soporte técnico.
• 56% a almacenamiento en la nube.
• 49% a correo electrónico o mensajería.
• 30% a sistemas de finanzas, facturación, compras o pagos.
• Solo el 19% limitó sus herramientas a la web pública, sin acceso interno.

La diferencia entre responder una pregunta y ejecutar una acción es la que define el tamaño del problema. Un resumen equivocado confunde a quien lo lee. Una herramienta conectada a sistemas de negocio puede mover información, iniciar un flujo de trabajo o liberar un pago. La clave está en el permiso: ahí se decide hasta dónde llega el error.

Por qué el correo sigue siendo la puerta de entrada

Entre quienes reportaron un incidente relacionado con agentes de IA, el 42% dijo que una herramienta de IA había resumido o actuado sobre un correo o mensaje malicioso. Otro 41% reportó que un atacante usó una herramienta de IA para hacer phishing o ingeniería social.

El matiz importa: el informe advierte que esas categorías pueden solaparse y que la segunda incluye el uso de IA por parte del atacante, no necesariamente una vulneración del agente de la víctima. Pero la foto agregada explica por qué conviene revisar las dos puntas: el contenido que consumen los agentes y las acciones que habilitan sus integraciones.

La forma más útil de pensarlo, según el informe, es separar información de autoridad. Un mensaje puede contener instrucciones, pero llegar a una bandeja de entrada no debería otorgarles autorización. Cuando el software puede actuar sobre sistemas conectados, sostener esa frontera deja de ser sentido común y pasa a ser control de acceso.

El contexto externo confirma que el correo no perdió protagonismo. El Informe de Defensa Digital 2026 de Microsoft, recogido por Insurance Business, encontró que el phishing representó el 23% del acceso inicial en los casos atendidos por sus equipos de respuesta a incidentes, frente al 7% un año antes. Solo la explotación de aplicaciones expuestas al público, con un 24%, quedó por encima.

Quién aprueba los agentes: TI sí, seguridad casi nunca

Entre los 479 participantes cuyas organizaciones usan herramientas capaces de actuar, el 78% señaló al área de TI como principal responsable de aprobar agentes, asistentes, complementos y conectores. Solo el 6% mencionó al área de seguridad y el 14% describió la aprobación como una responsabilidad compartida entre distintos grupos.

El informe es cuidadoso en la lectura: ser el aprobador principal no equivale a estar excluido del resto de los procesos. Pero la consecuencia práctica es clara. Quien aprueba no siempre es quien entiende el riesgo de los permisos.

Ahí aparece el dato más incómodo del estudio: entre las organizaciones que reportaron un incidente, el 39% admitió que un empleado había concedido a una herramienta de IA un acceso que el área de seguridad no habría aprobado.

Y hay una brecha entre confianza e implementación. El 93% afirma que sus planes de respuesta a incidentes contemplan los agentes de IA y el 84% confía en poder identificar un incidente impulsado por IA, pero solo el 52% dice tener ya implantados políticas formales, controles y procesos de respuesta. Otro 35% tiene políticas, pero con controles técnicos limitados.

El fenómeno no es exclusivo de las grandes empresas. Un análisis de Cisco sobre seguridad e IA señala que las organizaciones con altos niveles de uso de IA no aprobada —la llamada shadow AI, con cuentas personales y extensiones fuera de control— registraron costos de brecha un promedio de US$670.000 superiores a las que tienen poco o ningún uso oculto, y que una de cada cinco reportó una brecha vinculada a esa IA en la sombra.

Deepfakes: menos pérdidas, misma frecuencia de incidentes

La parte más alentadora del informe aparece en los deepfakes. La inversión activa en defensas subió del 37% al 48% respecto de la encuesta de 2025 de Censuswide. Entre las organizaciones que reportaron pérdidas económicas, la proporción que perdió al menos US$100.000 cayó del 63% al 49%, y la que perdió US$1 millón o más bajó del 6% al 3%. La pérdida media estimada entre las afectadas pasó de aproximadamente US$280.000 a US$225.000.

Pero el informe se cuida de no vender una victoria. El 84% reportó al menos un incidente relacionado con deepfakes, prácticamente igual que el 85% de 2025, con una definición amplia que va de imágenes manipuladas a suplantación de voz y video en tiempo real. Y la defensa contra deepfakes perdió prioridad: quienes la consideran prioridad máxima bajaron del 71% al 60%, justo cuando los agentes capaces de actuar suman otra exigencia al presupuesto de seguridad.

¿Qué significa esto para tu startup?

Tu startup probablemente no tenga un CISO ni un centro de operaciones de seguridad. Eso no te protege: te expone a la versión barata del mismo problema. Un bot conectado al CRM, un asistente que resume correos, un automatismo con acceso a facturación. Todos consumen contenido no confiable y varios pueden ejecutar acciones.

• Haz el inventario antes que la política. Lista qué agentes, asistentes y conectores existen, a qué sistemas llega cada uno y quién los autorizó. Si no puedes responder qué puede tocar una herramienta en menos de cinco minutos, ahí está tu primer problema.
• Aplica mínimo privilegio de verdad. Un agente que resume correos no necesita permiso de escritura sobre tu ERP. Separa permisos de lectura y de acción, y define qué operaciones exigen revisión humana: cambios de datos bancarios y pagos son el punto de partida obvio.
• Verifica por un canal separado. Para cualquier cambio de datos de pago o transferencia urgente, confirma por un canal que ya conocías, no por el que vino en el mensaje. Es el patrón que el fraude por correo sigue explotando, según muestra la cobertura de Insurance Business sobre reclamos de fraude electrónico.
• Prueba a los agentes, no solo a las personas. Si tus simulaciones de phishing solo miden si un empleado reconoce un correo sospechoso, estás midiendo la mitad del riesgo. Prueba si un mensaje no confiable puede influir en un flujo de trabajo autorizado.
• Que seguridad firme los conectores. No por burocracia: el 39% de los incidentes del informe empezó con un permiso que seguridad habría negado. Un checklist de aprobación de permisos cuesta menos que una brecha.

Hay una razón adicional para tomarlo en serio más allá del riesgo. La investigación AI Pulse de Protiviti, citada por Express Computer, encontró que las organizaciones con mayor confianza en sus datos tenían tres veces más probabilidad de superar sus expectativas de retorno sobre la inversión en IA.

Conclusión

El informe de IRONSCALES no dice que los agentes de IA sean peligrosos por naturaleza. Dice algo más útil: la adopción corrió más rápido que los controles, y el eslabón flojo no está en el modelo sino en los permisos, el proceso de aprobación y la trazabilidad. La pregunta que dejó de servir es si el modelo puede ser engañado. La que importa ahora es qué puede hacer el sistema si el modelo es engañado.

Para un equipo pequeño, la buena noticia es que las decisiones baratas son las que más rinden: menos permisos, verificación por canal separado, aprobación de conectores por parte de quien entiende el riesgo y registros que permitan reconstruir qué leyó y qué hizo cada herramienta. Eso no requiere presupuesto de corporación. Requiere criterio antes de conectar.

Fuentes

• Unite.AI: informe de IRONSCALES sobre agentes de IA y phishing
• Cisco: The AI Security Paradox - How Shadow AI Became the Enterprise's Biggest Blind Spot
• Insurance Business: Email fraud leads SME cyber claims
• Express Computer: AI versus AI - cybersecurity must move from detection to autonomous resilience